Rezervacija nastanitve in številka bančne kartice + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.09.2021 Številka: 07121-1/2021/1843 Kategorije: --> Kategorije: Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage, Privolitev Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše vprašanje. Navajate, da v hotelu v Portorožu za potrditev rezervacije zahtevajo številko bančne kartice. Sprašujete, ali je to sporno z vidika varstva osebnih podatkov. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošne usmeritve in pojasnila. Uvodoma poudarjamo, da mora za obdelavo osebnih podatkov v zasebnem sektorju, skladno s 6. členom Splošne uredbe obstajati primerna pravna podlaga: - privolitev (točka (a)), - sklenitev ali izvajanje pogodbe (točka (b)), - zakon (točka (c)), - zaščita življenjskih interesov posameznika (točka (d)), - zakoniti interesi, za katere si prizadeva upravljavec (točka (f)). Glede na vaše vprašanje prideta verjetno kot pravni podlagi eventualno v poštev točki (a)-privolitev ali točka (b)-sklenitev ali izvajanje pogodbe. Predlagamo vam, da preverite splošne pogoje poslovanja, ki ste jih verjetno prejeli ob sami rezervaciji. V kolikor ob rezervaciji niste opravili nobenega plačila, bi za zbiranje podatka o številki bančne kartice morala obstajati primerna pravna podlaga, npr. privolitev, kjer bi bil jasno opredeljen namen, zaradi katerega se ta podatek s strani upravljavca – hotela obdeluje. Več o privolitvi si lahko preberete na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev. V kolikor ste nastanitev preko spleta dejansko poravnali in ste npr. skladno s splošnimi pogoji izbrali možnost plačila z bančno kartico na spletni strani in posredovali številko svoje bančne kartice, potem ocenjujemo, da je za izvedbo pogodbe oz. plačila na podlagi zgoraj omenjene točke (
- b)te podatke treba vnesti ob plačilu. Dokončnega odgovora vam v okviru nezavezujočega mnenja, kot smo poudarili že zgoraj, ne moremo podati. Poudarjamo pa tudi, da mora upravljavec pri obdelavi osebnih podatkov upoštevati splošna načela varstva osebnih podatkov, npr. načelo najmanjšega obsega osebnih podatkov (točka (
- c)prvega odstavka 5. člena Splošne uredbe), skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Nekatere nasvete glede plačevanja preko spleta in nadaljnja napotila glede prepoznavanja lažnih spletnih strani si lahko preberete tudi npr. v mnenju št. 07121-1/2020/627 z dne 16.4.2020. Pojasnjujemo, da bi morali s strani upravljavca, še preden ste jim posredovali osebne podatke, prejeti informacije o obdelavi osebnih podatkov na podlagi 13. člena Splošne uredbe, kot so npr. informacije o namenih, za katere se osebni podatki obdelujejo, pravni podlagi za njihovo obdelavo, uporabnikih osebnih podatkov, prenosu osebnih podatkov v tretje države, obdobju hrambe osebnih podatkov, itd. V kolikor ste podatke upravljavcu že posredovali, lahko uveljavljate pravico dostopa posameznika. Na podlagi 15. člena Splošne uredbe ima posameznik pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: (
- a)namene obdelave; (
- b)vrste zadevnih osebnih podatkov; (
- c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah; (
- d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
- e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; (
- f)pravico do vložitve pritožbe pri nadzornem organu; (
- g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; (
- h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz prvega in četrtega odstavka 22. člena, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki. Skladno s tretjim odstavkom 15. člena Splošne uredbe mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotoviti kopijo osebnih podatkov, ki jih obdeluje. Če se zahtevo za dostop do osebnih podatkov predloži z elektronskimi sredstvi in če posameznik ne zahteva drugače, mu mora upravljavec informacije zagotoviti v elektronski obliki, ki je splošno uporabljana. Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja in mora v vsakem primeru posredovati informacije oziroma zavrnilni odgovor v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev (tretji odstavek 12. člena Splošne uredbe). Več o tem (npr. o možnosti pritožbe) si lahko preberete na spletni strani https://tiodlocas.si/pravica-vedeti-kaj-pocnejo-z-mojimi-osebnimi-podatki/. Na spletni strani Tiodlocas.si pa si lahko preberete tudi več o drugih pravicah na podlagi Splošne uredbe, npr. o pravici do izbrisa (pozabe). V kolikor na podlagi naših pojasnil menite, da je prišlo do kršitve varstva osebnih podatkov, lahko podate prijavo kršitve varstva osebnih podatkov, v okviru inšpekcijskega postopka pa bomo podrobno preverjali zakonitost in sorazmernost zbiranja osebnih podatkov. Vzorec prijave kršitve je dostopen na spletni strani IP na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. V upanju, da smo vam z napotili uspeli pomagati, vas lepo pozdravljamo, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026